วิธี Audit PDPA สำหรับเว็บไซต์ ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

เว็บไซต์คลินิก โรงพยาบาล และธุรกิจสุขภาพจำนวนมากเก็บข้อมูลสุขภาพของคนไข้ผ่านฟอร์มนัดหมายออนไลน์ ระบบคัดกรองอาการเบื้องต้น หรือแชทให้คำปรึกษากับพยาบาล โดยไม่มีใครในทีมเคยตรวจสอบว่าขั้นตอนเหล่านี้เป็นไปตามข้อกำหนด PDPA สำหรับข้อมูลสุขภาพซึ่งจัดเป็นข้อมูลอ่อนไหวหรือไม่ ปัญหาที่เกิดซ้ำในหลายองค์กรคือทีมการตลาดหรือทีมพัฒนาเว็บไซต์เปิดฟีเจอร์ใหม่เร็วกว่าที่ทีมกฎหมายหรือผู้ดูแลข้อมูลจะตามทบทวนทัน ฟอร์มถามอาการที่ให้คนไข้กรอกก่อนเข้ารับบริการ หรือระบบจองคิวที่ขอเบอร์โทรและประวัติการรักษาเดิม ล้วนเป็นจุดที่เก็บข้อมูลอ่อนไหวโดยที่ไม่มีขั้นตอนตรวจสอบรองรับ การ Audit ที่มีระบบชัดเจนจึงเป็นเรื่องจำเป็น ไม่ใช่ทางเลือก สำหรับธุรกิจสุขภาพที่ต้องรับผิดชอบข้อมูลประเภทนี้โดยตรง

การ Audit PDPA สำหรับเว็บไซต์คลินิก โรงพยาบาล และธุรกิจสุขภาพควรตรวจสี่เรื่องหลักเป็นรอบทุกหกเดือน คือฐานทางกฎหมายสำหรับข้อมูลสุขภาพซึ่งเป็นข้อมูลอ่อนไหว กลไกขอความยินยอมในฟอร์มนัดหมายและระบบคัดกรองอาการ ช่องทางให้คนไข้ใช้สิทธิ์เจ้าของข้อมูล และความพร้อมของกระบวนการแจ้งเหตุละเมิดข้อมูลสุขภาพซึ่งมีความเสี่ยงสูงกว่าข้อมูลทั่วไป แต่ละเรื่องต้องมีหลักฐานเก็บไว้ เช่น บันทึกความยินยอมแบบชัดแจ้ง บันทึกการตอบคำขอใช้สิทธิ์ของคนไข้ และผลการซ้อมแผนรับมือเหตุละเมิด การ Audit นี้ไม่ได้รับรองว่าเว็บไซต์ปฏิบัติตามกฎหมายครบถ้วน แต่ช่วยให้ทีมเห็นช่องว่างก่อนที่หน่วยงานกำกับดูแลหรือคนไข้จะเป็นคนพบเอง

ทำไมข้อมูลสุขภาพบนเว็บไซต์ต้องตรวจเข้มกว่าข้อมูลทั่วไป

ข้อมูลสุขภาพจัดเป็นข้อมูลอ่อนไหวตาม PDPA ซึ่งมีเกณฑ์การเก็บและใช้ที่เข้มกว่าข้อมูลส่วนบุคคลทั่วไปอย่างชื่อหรืออีเมล การเก็บข้อมูลอ่อนไหวต้องอาศัยความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล เว้นแต่จะเข้าข้อยกเว้นเฉพาะ เช่น การใช้เพื่อวัตถุประสงค์ทางการแพทย์หรือสาธารณสุขที่กฎหมายรองรับไว้ ปัญหาที่พบบ่อยคือทีมเว็บไซต์นำแบบฟอร์มถามอาการที่ใช้ในคลินิกจริงมาแปลงเป็นฟอร์มออนไลน์โดยตรง โดยไม่ได้ปรับกลไกขอความยินยอมให้เหมาะกับช่องทางดิจิทัล ทำให้ข้อมูลที่ควรมีความยินยอมชัดแจ้งกลับถูกเก็บผ่านฟอร์มธรรมดาที่ผู้กรอกอาจไม่รู้ตัวว่ากำลังให้ข้อมูลอ่อนไหวอยู่

เรื่องที่ 1: ตรวจฐานทางกฎหมายสำหรับข้อมูลสุขภาพที่เก็บผ่านเว็บไซต์

จุดเริ่มต้นของการ Audit คือไล่ทีละฟีเจอร์บนเว็บไซต์ว่าข้อมูลสุขภาพแต่ละจุดเก็บภายใต้ฐานทางกฎหมายใด ฟอร์มนัดหมายที่ถามอาการเบื้องต้นก่อนพบแพทย์ควรระบุชัดว่าใช้ฐานความยินยอมโดยชัดแจ้งหรือฐานข้อยกเว้นด้านการรักษาพยาบาล ส่วนระบบส่งอีเมลนัดหมายซ้ำหรือแจ้งเตือนตรวจสุขภาพประจำปีอาจใช้ฐานสัญญาการให้บริการ ทีมควรสร้างตารางแมปฟีเจอร์กับฐานทางกฎหมายที่ใช้จริง แล้วให้ผู้ดูแลข้อมูลกับตัวแทนฝ่ายการแพทย์นั่งทบทวนร่วมกันอย่างน้อยปีละสองครั้ง เพราะฟีเจอร์ใหม่อย่างระบบแชทให้คำปรึกษาออนไลน์ที่เพิ่งเปิดตัวมักไม่ได้ผ่านการทบทวนฐานทางกฎหมายก่อนใช้งานจริง

เรื่องที่ 2: ตรวจกลไกขอความยินยอมในฟอร์มนัดหมายและระบบคัดกรองอาการ

สิ่งที่ต้องตรวจไม่ใช่แค่ว่ามีข้อความขอความยินยอมปรากฏอยู่ในฟอร์มหรือไม่ แต่ต้องตรวจว่าข้อความนั้นแยกออกจากการยอมรับเงื่อนไขการใช้งานทั่วไปอย่างชัดเจน และผู้กรอกต้องกดยินยอมแยกต่างหากก่อนกรอกข้อมูลอาการหรือประวัติการรักษา คลินิกหลายแห่งรวมข้อความยินยอมเก็บข้อมูลสุขภาพไว้ในบรรทัดเดียวกับการยอมรับข้อกำหนดการใช้เว็บไซต์ ทำให้ไม่สามารถแยกได้ว่าคนไข้ยินยอมให้เก็บข้อมูลอ่อนไหวจริงหรือแค่กดผ่านหน้าจอไปเฉย ๆ การ Audit ควรรวมการทดสอบกรอกฟอร์มจริงเพื่อดูว่าขั้นตอนขอความยินยอมทำงานตามที่ออกแบบไว้หรือไม่ และควรตรวจว่ามีการบันทึกเวลาที่กดยินยอมพร้อมเวอร์ชันของข้อความที่แสดงตอนนั้นไว้เป็นหลักฐาน

เรื่องที่ 3: ตรวจช่องทางให้คนไข้ใช้สิทธิ์เจ้าของข้อมูล

คนไข้มีสิทธิ์ขอเข้าถึง แก้ไข หรือขอให้ลบประวัติการนัดหมายและข้อมูลอาการที่เคยกรอกผ่านเว็บไซต์ สิ่งที่ Audit ต้องตรวจคือเมื่อมีคำขอเข้ามาจริง ทีมมีขั้นตอนภายในที่ทำตามได้ทันหรือไม่ ปัญหาที่พบบ่อยในธุรกิจสุขภาพคือระบบนัดหมายออนไลน์กับระบบเวชระเบียนภายในคลินิกเป็นคนละระบบที่ไม่เชื่อมต่อกัน เมื่อคนไข้ขอให้ลบข้อมูลจากเว็บไซต์ ทีมเว็บไซต์อาจลบได้เฉพาะฝั่งระบบจองคิว แต่ประวัติอาการที่เคยกรอกไว้ยังค้างอยู่ในฐานข้อมูลสำรองหรือถูกส่งต่อไปยังระบบเวชระเบียนแล้วโดยไม่มีใครติดตามลบต่อ ทีมควรมีเอกสารภายในที่ระบุชัดว่าคำขอแต่ละประเภทต้องไปดำเนินการที่ระบบใดบ้าง และใครเป็นผู้รับผิดชอบยืนยันว่าดำเนินการครบทุกจุดแล้ว

เรื่องที่ 4: ตรวจความพร้อมของกระบวนการแจ้งเหตุละเมิดข้อมูลสุขภาพ

ข้อมูลสุขภาพที่รั่วไหลมีความเสี่ยงสูงกว่าข้อมูลทั่วไปมาก เพราะกระทบต่อความเป็นส่วนตัวของคนไข้โดยตรงและอาจถูกนำไปใช้ในทางที่สร้างความเสียหายรุนแรง การ Audit ควรตรวจว่าทีมมีขั้นตอนชัดเจนหรือไม่ว่าหากพบเหตุการณ์ผิดปกติ เช่น มีคนเข้าถึงฐานข้อมูลนัดหมายโดยไม่ได้รับอนุญาต ใครเป็นผู้ตัดสินใจว่าต้องแจ้งหน่วยงานกำกับดูแลหรือแจ้งคนไข้ที่ได้รับผลกระทบ และมีกรอบเวลาที่ต้องทำตามหรือไม่ คลินิกขนาดเล็กจำนวนมากไม่เคยเตรียมแผนนี้เลยเพราะคิดว่าเหตุการณ์แบบนี้ไม่น่าจะเกิดกับธุรกิจขนาดเล็ก ทั้งที่ระบบนัดหมายออนไลน์ที่เปิดให้บุคคลภายนอกเข้าถึงได้ง่ายกลับเป็นเป้าหมายที่พบการโจมตีบ่อยไม่น้อยกว่าระบบขนาดใหญ่

ตรวจสัญญากับผู้ให้บริการภายนอกที่ดูแลระบบนัดหมายและแชทให้คำปรึกษา

คลินิกและโรงพยาบาลจำนวนมากใช้บริการระบบจองคิวออนไลน์ ระบบแชทให้คำปรึกษา หรือแพลตฟอร์มส่งอีเมลแจ้งเตือนจากผู้ให้บริการภายนอก ซึ่งหมายความว่าข้อมูลสุขภาพของคนไข้ถูกส่งออกไปประมวลผลนอกระบบของคลินิกเองด้วย การ Audit ที่ครบถ้วนต้องตรวจสัญญากับผู้ให้บริการเหล่านี้ว่าระบุขอบเขตการใช้ข้อมูล ระยะเวลาที่เก็บข้อมูล และขั้นตอนลบข้อมูลเมื่อคนไข้ยกเลิกบัญชีหรือขอใช้สิทธิ์ไว้ชัดเจนหรือไม่ ปัญหาที่พบบ่อยคือคลินิกเซ็นสัญญาการใช้งานซอฟต์แวร์แบบมาตรฐานที่ผู้ให้บริการเตรียมไว้ โดยไม่มีข้อกำหนดเฉพาะเรื่องข้อมูลสุขภาพอ่อนไหวเพิ่มเติม ทำให้เมื่อต้องการให้ผู้ให้บริการลบข้อมูลตามคำขอของคนไข้ กลับไม่มีข้อผูกพันทางสัญญาที่ชัดเจนให้ทำตามภายในกรอบเวลาที่กำหนด ทีมควรทบทวนสัญญาเหล่านี้พร้อมกับรอบ Audit ทุกครั้ง ไม่ใช่แค่ตอนต่อสัญญาประจำปี

การเก็บ Evidence และติดตามผลระหว่างรอบ Audit

ธุรกิจสุขภาพหลายแห่งทำ Audit เสร็จแล้วเก็บผลไว้ในไฟล์เดียวโดยไม่มีใครเปิดดูอีกจนกว่าจะถึงรอบถัดไป วิธีที่ช่วยได้จริงคือแปลงรายการที่พบว่าต้องแก้ไขให้เป็นงานที่มีเจ้าของและกำหนดเวลาชัดเจนในระบบติดตามงานที่ทีมไอทีใช้อยู่แล้ว ไม่ว่าจะเป็นระบบตั๋วงานทั่วไปหรือแม้แต่ตารางติดตามใน Spreadsheet ที่ผู้บริหารเห็นได้ ทีมควรกำหนดว่าใครเป็นผู้ตรวจสอบซ้ำว่าแต่ละรายการถูกแก้ไขจริงก่อนปิดงาน ไม่ใช่แค่ทำเครื่องหมายว่าเสร็จแล้วโดยไม่มีการยืนยัน เพราะข้อมูลอ่อนไหวอย่างข้อมูลสุขภาพต้องการความรอบคอบมากกว่าข้อมูลทั่วไปในทุกขั้นตอน

ตัวอย่าง: คลินิกที่มีฟอร์มคัดกรองอาการแต่ไม่เคยตรวจฐานทางกฎหมาย

คลินิกเฉพาะทางแห่งหนึ่งเปิดฟอร์มคัดกรองอาการออนไลน์ให้คนไข้กรอกก่อนเข้ารับบริการเพื่อลดเวลารอคิวที่หน้าเคาน์เตอร์ ฟอร์มดังกล่าวถามอาการ ประวัติการแพ้ยา และโรคประจำตัวอย่างละเอียด แต่ทีมที่พัฒนาฟอร์มเป็นทีมไอทีภายนอกที่รับงานตามสเปกโดยไม่ได้ปรึกษาผู้ดูแลข้อมูลของคลินิกเรื่องฐานทางกฎหมายที่ควรใช้ เมื่อคลินิกได้รับคำร้องจากคนไข้รายหนึ่งที่ขอให้ลบข้อมูลอาการที่เคยกรอกไว้ ทีมพบว่าไม่มีใครทราบว่าข้อมูลนั้นถูกเก็บไว้ที่เซิร์ฟเวอร์ของทีมไอทีภายนอกหรือถูกส่งต่อเข้าระบบเวชระเบียนหลักแล้ว การตามหาและลบข้อมูลใช้เวลานานกว่าที่ควร และคลินิกไม่มีหลักฐานใด ๆ ยืนยันว่าเคยขอความยินยอมโดยชัดแจ้งสำหรับข้อมูลอาการเหล่านี้ตั้งแต่ต้น หลังเหตุการณ์นี้ผู้จัดการคลินิกจึงตัดสินใจตั้งขั้นตอนใหม่ให้ทีมไอทีภายนอกต้องส่งเอกสารสรุปการไหลของข้อมูลทุกครั้งที่มีการปรับปรุงฟอร์มบนเว็บไซต์ ก่อนจะอนุมัติให้เปิดใช้งานจริงกับคนไข้

ใครควรเป็นเจ้าของการ Audit นี้ในธุรกิจสุขภาพ

ในคลินิกขนาดเล็กที่ยังไม่มีตำแหน่งผู้ดูแลข้อมูลโดยเฉพาะ วิธีที่ทำได้จริงคือให้ผู้จัดการคลินิกร่วมกับทีมการตลาดที่ดูแลเว็บไซต์ไล่ตรวจสี่เรื่องข้างต้นทุกหกเดือน แล้วนำผลไปให้แพทย์ผู้รับผิดชอบหรือที่ปรึกษากฎหมายภายนอกตรวจทานเฉพาะจุดที่ไม่มั่นใจ เมื่อองค์กรโตขึ้นจนมีทีมผู้ดูแลข้อมูลหรือ DPO โดยตรง บทบาทของ Audit ควรเปลี่ยนเป็นการประสานงานเชิงระบบ ดึงข้อมูลจากทีมไอทีเรื่องฟีเจอร์ใหม่ ทีมพยาบาลเรื่องขั้นตอนการเก็บข้อมูลหน้างาน และทีมต้อนรับเรื่องคำขอใช้สิทธิ์ที่คนไข้ยื่นเข้ามาโดยตรงที่เคาน์เตอร์ แล้วรวบรวมเป็นรายงาน Audit ที่มีวันที่และผู้รับผิดชอบชัดเจนทุกรอบ

Evidence ที่ควรเก็บไว้จากการ Audit แต่ละรอบ

เพื่อให้ตอบคำถามหน่วยงานกำกับดูแลหรือคนไข้ได้เร็วเมื่อมีข้อสงสัย ทีมควรเก็บตารางแมปฟีเจอร์กับฐานทางกฎหมายพร้อมวันที่ทบทวนล่าสุด บันทึกความยินยอมแบบชัดแจ้งของคนไข้แต่ละราย พร้อมเวอร์ชันของข้อความที่แสดงตอนนั้น บันทึกเวลาและผลการจัดการคำขอใช้สิทธิ์แต่ละครั้ง และผลการซ้อมกระบวนการแจ้งเหตุละเมิดข้อมูลในแต่ละรอบ หลักฐานเหล่านี้ไม่ได้ทำให้เว็บไซต์ปฏิบัติตามกฎหมายสมบูรณ์แบบ แต่ช่วยแสดงให้เห็นว่าองค์กรมีกระบวนการตรวจสอบตัวเองอย่างจริงจัง ดูรายการตรวจก่อนเปิดใช้งานฟีเจอร์ใหม่ได้ที่ เช็กลิสต์ PDPA สำหรับเว็บไซต์ธุรกิจสุขภาพ และดูขั้นตอนวางระบบตั้งแต่ต้นได้ที่ วิธีทำ PDPA สำหรับเว็บไซต์ธุรกิจสุขภาพ

ข้อผิดพลาดที่พบบ่อยเมื่อ Audit เฉพาะเอกสารไม่ใช่ระบบจริง

• รวมข้อความขอความยินยอมเก็บข้อมูลสุขภาพไว้ในบรรทัดเดียวกับการยอมรับเงื่อนไขการใช้งานทั่วไป ทำให้แยกไม่ออกว่าคนไข้ยินยอมจริงหรือไม่
• ไม่มีใครทราบว่าข้อมูลอาการที่กรอกผ่านเว็บไซต์ถูกส่งต่อเข้าระบบเวชระเบียนหลักแล้วหรือยังค้างอยู่ที่ใด
• ให้ทีมไอทีภายนอกพัฒนาฟอร์มเก็บข้อมูลสุขภาพโดยไม่ปรึกษาผู้ดูแลข้อมูลเรื่องฐานทางกฎหมายก่อนใช้งานจริง
• ไม่เคยเตรียมแผนแจ้งเหตุละเมิดข้อมูลเพราะคิดว่าคลินิกขนาดเล็กไม่ใช่เป้าหมายของการโจมตี

สรุป

การ Audit PDPA สำหรับเว็บไซต์คลินิก โรงพยาบาล และธุรกิจสุขภาพที่ได้ผลจริงต้องให้ความสำคัญกับข้อมูลสุขภาพในฐานะข้อมูลอ่อนไหวเป็นพิเศษ ทั้งฐานทางกฎหมาย กลไกความยินยอมที่แยกชัดเจน ช่องทางใช้สิทธิ์ที่ครอบคลุมทุกระบบที่ข้อมูลไหลไปถึง และความพร้อมรับมือเหตุละเมิดที่มีความเสี่ยงสูงกว่าข้อมูลทั่วไป องค์กรที่ทำ Audit แบบนี้เป็นรอบสม่ำเสมอจะลดโอกาสที่จะต้องเจอคำถามยากจากคนไข้หรือหน่วยงานกำกับดูแลแบบไม่ทันตั้งตัว ดูภาพรวมหัวข้ออื่นในหมวด Privacy Fundamentals เพิ่มเติมได้ที่ คลังความรู้ Privacy Fundamentals

แหล่งข้อมูลอ้างอิง

รายละเอียดเรื่องข้อมูลอ่อนไหว ฐานทางกฎหมาย สิทธิ์เจ้าของข้อมูล และหน้าที่แจ้งเหตุละเมิดตามกฎหมาย ควรตรวจสอบเทียบกับแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง บทความนี้เป็นแนวทางเชิงปฏิบัติสำหรับทีมการตลาด ผู้ดูแลข้อมูล และผู้บริหารคลินิก ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแลหรือที่ปรึกษากฎหมายของแต่ละองค์กร